Тематическая секция
Криптография и криптоанализ
Классическая секция конференции, посвященная научным и практическим вопросам криптографии и криптоанализа.
- Ведущие
-
Матюхин Дмитрий Викторович
К.ф.-м.н., ФСБ России
Алексеев Евгений Константинович
Жуков Алексей Евгеньевич
К.ф.-м.н., МГТУ им. Баумана, Ассоциация «РусКрипто»
Часть I. 19 марта, 17:00
Обзор результатов анализа хэш-функции ГОСТ Р 34.11-2012. 10 лет спустя
- Матюхин Дмитрий Викторович, ТК 26
- Маршалко Григорий Борисович, ТК 26
- Столовник Дмитрий Александрович, ТК 26
- Фомин Денис Бониславович, ТК 26
В работе будет дан аналитический обзор всех известных авторам работ, посвященных описанию криптографических свойств хэш-функций ГОСТ Р 34.11-2012
Подход к автоматизации дифференциального метода анализа
- Тавокин Михаил Александрович, специалист, СФБ Лаб
- Бондакова Ольга Сергеевна, старший преподаватель, РТУ МИРЭА
В настоящей работе продемонстрирована автоматизация дифференциального метода анализа параметризуемой хэш-функции MORA-Z с использованием MILP-моделирования. Данный подход доказывает адаптацию указанного метода автоматизации для проведения Rebound-атаки.
Концепции построения малоресурсных блочных шифрсистем: так ли нужны максимально рассеивающие линейные преобразования?
- Давыдов Степан Андреевич, старший специалист-исследователь лаборатории криптографии, НПК «Криптонит»
- Чичаева Анастасия Александровна, специалист-исследователь лаборатории криптографии, НПК «Криптонит»
- Шкуратов Юрий Дмитриевич, младший специалист-исследователь лаборатории криптографии, НПК «Криптонит»
В докладе рассматриваются современные подходы к разработке малоресурсных блочных шифрсистем, в частности исследуются используемые в них параметры (tweak), связь нелинейных и линейных преобразований, а также методы их криптоанализа и оценки стойкости. В качестве примеров рассматриваются такие малоресурсные XSL-шифры, как PRESENT, GIFT, LED, Midori, Skinny.
Об одном обобщении FLEX-подобных алгоритмов блочного шифрования и его алгебраических свойствах
- Смирнов Антон Михайлович, НИЯУ МИФИ
Алгоритм блочного шифрования FlexAEAD – участник конкурса Национального института стандартов и технологий США на стандарт низкоресурсного алгоритма шифрования. Разнообразные вариации подобных алгоритмов представляют интерес с точки зрения анализа и синтеза. В работе вводится r-обобщение FLEX-подобных алгоритмов блочного шифрования путем итеративного построения нелинейного преобразования. Исследованы некоторые алгебраические свойства преобразования. Получено условие интранзитивности группы, порожденной обобщением нелинейного преобразования и условие импримитивности группы, порожденной обобщением нелинейного преобразования и преобразования аддитивного наложения ключа. Показано, что к полученному обобщению может быть применена атака методом «йо-йо». Результаты атаки подтверждены в ходе модельного эксперимента.
Алгоритмы аутентифицированного шифрования на основе отечественных криптографических примитивов в сценариях с вычислительными ограничениями
- Буинов Борис Юрьевич, инженер-программист, Компания «Актив»
- Васин Антон Романович, к.ф.-м.н., старший аналитик-криптограф, Компания «Актив»
- Скоробогатова Марина Андреевна, старший аналитик, Компания «Актив»
В работе рассматриваются некоторые схемы аутентифицированного шифрования, основанные на отечественных стандартизованных блочных шифрсистемах и подходящие для низкоресурсной программной реализации. Для рассматриваемых схем получены оценки стойкости в модели AE, в интересных с практической точки зрения случаях оценена максимальная нагрузка на ключ. Вычислительные эксперименты на низкоресурсных микроконтроллерах показали скоростные преимущества предложенных схем над режимом MGM.
Об одном подходе к построению режимов работы блочных шифров для защиты информации на системных носителях с блочно-ориентированной структурой
- Коренева Алиса Михайловна, к.ф.-м.н., начальник отдела криптографического анализа, Код Безопасности, доцент кафедры ИБ, Финансовый университет при Правительстве РФ
- Фирсов Георгий Валентинович, руководитель группы разработки, Код Безопасности, аспирант кафедры «Криптология и кибербезопасность», НИЯУ «МИФИ»
В докладе предлагается схема TNR (Tweakable Naor-Reingold), являющаяся расширением известной схемы Наора и Рейнгольда и позволяющая на основе симметричного блочного шифра построить «настраиваемый» шифр, обрабатывающий двоичные строки, состоящие из целого числа блоков. Схема TNR может быть использована для построения режимов работы блочных шифров, сохраняющих длину открытого текста, что делает возможным применение конкретных реализаций схемы TNR для защиты информации на системных носителях с блочно-ориентированной структурой. Для схемы TNR получена оценка уровня информационной безопасности в модели неразличимости схемы и случайного оракула, учитывающей особенности функционирования подсистемы полнодискового шифрования. Полученная оценка позволяет сформулировать рекомендации по выбору параметров схемы для использования в системах защиты информации.
Часть II. 20 марта, 10:00
Сложность решения систем полиномиальных уравнений с помощью квантового алгоритма Гровера на примере блочного алгоритма шифрования КБ-256
- Поляков Михаил Вадимович, Код Безопасности, МГТУ им. Баумана
- Коренева Алиса Михайловна, к.ф.-м.н., начальник отдела криптографического анализа, Код Безопасности, доцент кафедры ИБ, Финансовый университет при Правительстве РФ
В докладе рассматривается сложность решения задачи MQ (multivariate quadratic) квантовым алгоритмом Гровера. В качестве примера построена система полиномиальных уравнений для блочного шифра КБ-256, которая является частью оракула в квантовой схеме. Для итоговой схемы приводятся оценки необходимого количества кубитов, квантовых вентилей, а также глубины схемы.
О применении квантово-вычислительных методов в некоторых атаках на алгоритм «Магма»
- Щербаченко Андрей Александрович, специалист, СФБ Лаб
В докладе анализируются подходы к использованию квантового алгоритма Гровера для ускорения этапов некоторых известных атак на алгоритм ГОСТ 34.12-2018 «Магма». Рассматриваются атаки Исобе и Динура–Дункельмана–Шамира, основанные на специальных структурных свойствах алгоритма: точки отражения, фиксированные точки, их комбинации. Показывается, что подходы не приводят к снижению оценки квантовой стойкости алгоритма «Магма» по сравнению с универсальной атакой полного перебора с использованием алгоритма Гровера.
Вариационные квантовые алгоритмы как перспективный метод универсального криптоанализа
- Манько Софья Дмитриевна, Центр научных исследований и перспективных разработок, ИнфоТеКС
- Моисеевский Алексей Денисович, Центр научных исследований и перспективных разработок, ИнфоТеКС, Центр квантовых технологий МГУ имени М.В. Ломоносова
Вариационные квантовые алгоритмы применительно к задаче криптоанализа симметричных шифров представляют серьёзную альтернативу алгоритму Гровера. Их преимуществом является меньшая требовательность к числу кубитов и глубине квантовой схемы. Несмотря на выявленную существенную зависимость результатов от конкретных параметров реализации алгоритма, предполагается, что методы подобного класса принципиально могут быть применены для атаки как симметричных, так и асимметричных алгоритмов шифрования, включая постквантовые.
Пример применения квантового алгоритма Шора для решения задачи дискретного логарифмирования в группе точек эллиптической кривой над конечным простым полем
- Денисенко Денис Витальевич, Академия криптографии РФ, МГТУ им. Н.Э. Баумана
В докладе рассмотрен пример применения квантового алгоритма Шора к задаче дискретного логарифмирования в группе точек эллиптической кривой над GF(p) – задаче ECDLP, на сложности которой основана схема ЭЦП ГОСТ 34.10-2018. Показано, что для реализации операции сложения в группе точек эллиптической кривой в канонической форме Вейерштрасса достаточно 8n+3 логических кубитов, а для применения квантового алгоритма Шора с полуклассическим QFT достаточно 8n+4 логических кубитов. Продемонстрированы возможные распределения вероятностей результатов измерения в квантом алгоритме Шора при решении задачи ECDLP на конкретном примере.
Об особенностях квантовых генераторов случайных чисел
- Науменко Антон Павлович, заместитель начальника отдела, СФБ Лаб
- Арбеков Игорь Михайлович, к.ф.-м.н., главный специалист, СФБ Лаб
- Кирюхин Виталий Александрович, главный специалист, СФБ Лаб
- Щербаченко Андрей Александрович, ведущий специалист, СФБ Лаб
В докладе рассмотрены основные принципы построения физических генераторов случайных чисел. Особый акцент сделан на выделении принципиальных особенностей генераторов случайных чисел, использующих квантовые эффекты (квантовых генераторов случайных чисел). Дана краткая классификация указанных принципов и эффектов, которые по мнению авторов должна учитываться при разработке квантового генератора как коммерческого изделия.
Часть III. 20 марта, 12:00
Методы защиты от атак по побочным каналам аппаратной реализации схем постквантовой подписи, построенных на основе протокола идентификации Штерна
- Смирнов Дмитрий Константинович, МГУ имени М.В. Ломоносова, ИнфоТеКС
- Чижов Иван Владимирович, к.ф.-м. н., доцент, МГУ имени М.В. Ломоносова, Федеральный исследовательский центр «Информатика и управление» РАН, Криптонит
В работе рассматриваются вопросы стойкости постквантовых криптографических механизмов относительно классических методов анализа в условиях наличия утечек по побочным каналам. Предложен вариант матричного умножения и перемешивания векторов, устойчивые к корреляционным атакам, и модификация протокола идентификации Штерна. Показано, что стойкость модифицированной схемы совпадает со стойкостью оригинальной в отсутствии утечек по побочным каналам и превосходит в модели с ними.
Гиперикум 2.0: проект квантово-устойчивой схемы цифровой подписи для стандартизации в России
- Турченко Олег Юрьевич, к.т.н., старший исследователь, QApp
- Гребнев Сергей Владимирович, руководитель группы прикладных исследований, QApp
В работе описывается статус работ по второй редакции схемы Гиперикум. Также в работе рассматриваются преимущества альтернативного способа реализации псевдослучайной функции и приводится подробный анализ метода выбора наборов параметров.
Схема электронной подписи на решетках «Облепиха»
- Леевик Антон Георгиевич, криптограф-исследователь, QApp
- Малыгина Екатерина Сергеевна, к.ф.-м.н., криптограф-исследователь, QApp
- Мельничук Евгений Михайлович, криптограф-исследователь, QApp
- Набоков Денис Алексеевич, криптограф-исследователь, QApp
Предлагается схема цифровой подписи «Облепиха», построенная на парадигме Hash-and-Sign. Обосновывается выбор используемых решеток Барнса-Уолла, а также сложной задачи об изоморфизме решеток (LIP), лежащей в основе безопасности схемы. Описывается обзор возможных атак и анализ их сложности.
Механизм инкапсуляции ключа на решетках «Земляника»
- Зеленецкий Алексей Сергеевич, старший исследователь, QApp, аспирант, МГТУ им. Баумана
В данной работе предлагается постквантовый механизм инкапсуляции ключа «Земляника». Рассматриваются основные принципы работы данного механизма, а также приведены его характеристики в сравнении с характеристиками механизма инкапсуляции ключа Kyber, стандартизованного в США в 2024 году как FIPS-203. Кроме того, приводится анализ криптографической стойкости предлагаемого механизма совместно с обзором известных атак.
Гибридизация ключей — однократного хэширования достаточно
- Кирюхин Виталий Александрович, главный специалист, СФБ Лаб
Алгоритмы гибридизации служат для «смешивания», «комбинирования» нескольких ключей, полученных из разных источников. Если хотя бы один из таких ключей является секретным, то выход алгоритма должен быть неотличим от случайного, даже если все остальные ключи скомпрометированы или навязаны противником. Для алгоритмов гибридизации представлен ряд формализованных сценариев применения. Доказано, что во всех рассмотренных ситуациях достаточно однократного применения хэш-функции «Стрибог», хотя в отдельных случаях применимы и более простые решения.
Способы интеграции квантовых ключей в протоколы IPsec, TLS 1.3 и IPlir
Представлены предложения по модификации протоколов сетевой защиты данных, стандартизованных в Российской Федерации: IPlir, TLS 1.3 и IPsec, с целью интеграции в них ключей, полученных с применением технологии КРК, для улучшения криптографических качеств этих протоколов. Проведен анализ влияния разработанных предложений на эксплуатационные свойства и криптографические качества этих протоколов. Показана целесообразность использования предложенных модификаций в ряде сценариев использования протоколов.
Часть IV. 20 марта, 15:00
Об одной схеме динамической групповой подписи
- Утехина Мария Павловна, инженер-аналитик 2 категории, КриптоПро
В настоящем докладе будет предложена новая схема динамической групповой подписи, основывающейся на задаче дискретного логарифмирования в мультипликативной группе конечного поля вычетов, и представлены принципы её построения.
О скрытых возможностях отечественного варианта уравнения Эль-Гамаля
- Гуселев Антон Михайлович, Академия криптографии РФ
В настоящее время широкое применение на практике нашли асимметричные криптографические механизмы, обладающие дополнительным функционалом. К указанным механизмам можно отнести схемы кольцевой, групповой, агрегируемой, пороговой подписи и др. Вместе с тем, несмотря на разнообразие таких механизмов, в их основе лежит идея использования одного уравнения — уравнения подписи, используемого в схеме подписи, предложенной К.-П. Шнорром. В докладе будут рассмотрены подходы к созданию асимметричных криптографических механизмов, обладающих дополнительным функционалам, на основе уравнения подписи, используемого в схеме подписи по ГОСТ Р 34.10-2012, а также некоторые отличительные свойства получившихся механизмов.
Мультипликативно и линейно связанные ключи подписи
- Бахарев Александр Олегович, младший специалист-исследователь лаборатории криптографии, НПК «Криптонит»
- Царегородцев Кирилл Денисович, инженер 1 категории лаборатории вычислительных методов, Механико-математический факультет МГУ имени М.В. Ломоносова
В докладе рассматривается схема подписи ГОСТ с мультипликативно и линейно связанными ключами. Показано, что для каждой из таких модификаций в некоторых стандартных предположениях выполняется свойство неподделываемости для всех производных ключей.
Об одном подходе к оценке нагрузки на ключ для протоколов CRISP и IPlir
- Кирюхин Виталий Александрович, главный специалист, СФБ Лаб
Для класса криптопротоколов, включающего CRISP и IPlir, предложен ряд формальных моделей угроз, в рамках которых типичная задача различения «реальная система» / «идеальная система» заменяется на более слабую «реальная система» / «реальная система, но при i-м ключе идеальная». Введённые модели позволяют гораздо точнее оценить среднее число ключей, при которых противник успешно решит задачу дешифрования и/или навязывания. Ограничение же на предельно допустимый ущерб определяет нагрузку на ключ (базовый или производный). Благодаря ослаблению моделей, в частности, показано, что алгоритм KDF-CMAC может формировать больше производных ключей, чем позволяет граница «по парадоксу дней рождения».
«Подводные камни» при обеспечении защиты в системах VoIP
- Ахметзянова Лилия Руслановна, к.ф.-м.н., заместитель начальника отдела криптографических исследований, КриптоПро, эксперт НТЦ ЦК
Результаты, представленные в настоящем докладе, были получены в рамках выполнения научно-исследовательской работы «Разработка механизмов обеспечения информационной безопасности при передаче аудиоинформации по информационно-телекоммуникационным сетям связи в условиях отсутствия возможности использования надежных средств доставки пакетов данных», шифр «Голос», проведенной в АНО «Национальный технологический центр цифровой криптографии».
